1、第一步，確保你的Web服務(wù)器是強化的OS操作系統(tǒng)。如果你使用的是Windows Server 2008 R2的操作系統(tǒng)，那么服務(wù)器核心安裝版本會給你需要的——所有功能，但不能降低被攻擊的風(fēng)險。如果你正在使用常規(guī)版本的Windows Server，可以試著安裝IIS，它只是作用于你目前所需要的裝置。根據(jù)你的需要，也可以恢復(fù)或者安裝更多你所需要的功能。注意，當(dāng)你添加了，你不使用的裝置時，這會使你受到的攻擊范圍擴大。

 

　　2、使用防火墻可以真正幫助你保護WEB服務(wù)器,尤其是面向互聯(lián)網(wǎng)的服務(wù)器。防火墻能確保服務(wù)器只接收有效的有服務(wù)的封包。當(dāng)外部襲擊者試圖對你的服務(wù)器進行惡意攻擊時，防火墻就是你的第一道防線。使用入侵預(yù)防系統(tǒng)(IPS),可以進一步保障你的系統(tǒng),尤其是IIS服務(wù)器。 如果你的系統(tǒng)不是很大,不需要裝特定的硬件防火墻裝置時,你也可以利用Windows Server 2008的綜合防火墻同樣可以獲得較好的安全性。

 

　　3、用IIS7控制ip和域限制訪問你WEB服務(wù)器的內(nèi)容。 例如,你可以只授權(quán)組織內(nèi)部域的訪問。或者添加除合作伙伴以外,管理員家里的IP地址，老板或其他任何你希望可以訪問的組織或者個人。

 

　　4、IIS7可讓你更好的過濾需要處理的，需要過濾的信息。利用這一特點你可以對特定規(guī)則要求過濾,例如處理帶有特定擴展名的文件，或者處理在URL中的特定短語。

 

　　5、當(dāng)一個有效的包進入IIS處理時,同時也應(yīng)該會有一個授權(quán)的人。IIS7允許你使用一個過程調(diào)用 URL授權(quán)。 特定的頁面和/或Web服務(wù)器的網(wǎng)站，可以授權(quán)給不同的用戶。默認情況下，用戶應(yīng)首先驗證自己，并根據(jù)其驗證身份，然后允許或不允許進入他們所要求的網(wǎng)頁/網(wǎng)站。這與之前ISS版本不同，管理員可設(shè)置文件系統(tǒng)級別上的權(quán)限。使用URL授權(quán)IIS7的方式來支持更詳細的授權(quán)用戶。

 

    6、確保你的IIS服務(wù)器的最佳方法之一是通過使用有證書的SSL通信在用戶和Web服務(wù)器之間。如果服務(wù)器是公開使用的,你應(yīng)該要從GoDaddy或Verisign這樣的受信任的證書頒發(fā)機構(gòu)頒發(fā)的證書。這個證書在任何瀏覽器上,在任何一臺電腦上，都是可信任的,也是最容易的,但是使用SSL的缺點就是價格較高。如果IIS服務(wù)器只在你的組織內(nèi)部使用,你可以使用自己的PKI證書發(fā)出的Web服務(wù)器,在你所處的環(huán)境。但是,內(nèi)部用戶訪問時可能存在，在不同的電腦上沒有安裝證書的計算機訪問會出現(xiàn)問題。如果你的IIS服務(wù)器只在測試環(huán)境中使用,那么你可以在ISS管理工具中，使用自簽名的證書。在以前的ISS版本中沒有集成這一功能，你必須從微軟下載一個工具來創(chuàng)造自己的簽名證書，而在IIS7中,這個過程就容易多了。

 

　　7、日志 是一個讓你最有保障的方法。它可幫助你搜索攻擊源或者一個服務(wù)器損壞的原因。從一開始就確保你的設(shè)置,并在危機關(guān)頭協(xié)助你的監(jiān)測工作。

 

　　8、如果你感覺你的IIS基礎(chǔ)設(shè)施和所有的安全解決方案已經(jīng)沒有問題的話，那么就要進行測試了。使用測試工具微軟會提供給你大師級的策略來確保你的測試是最好的方法。 做測試最常用的工具是SCW和SCM。下面就來介紹一下:安全配置向?qū)?SCW)——這是根據(jù)你的服務(wù)器除IIS服務(wù)器之外，是否或者還扮演一些其他的角色，而有所不同。 測試結(jié)束后SCW會告訴你如何提高服務(wù)器安全性的報告和建議。安全合規(guī)管理器(SCM)-是微軟給你的服務(wù)器做安全測試的工具。在與配置服務(wù)器的預(yù)定義模板進行對比后,通過改變使用策略來配置服務(wù)器。SCM使用更新過的數(shù)據(jù)庫工具，要比SCW所使用的工具更復(fù)雜。從而確保你定期進行初始化安裝服務(wù)器后能運行這些工具。

 

　　9、上面提到了有關(guān)IIS日志記錄功能的作用,但日志最重要的作用是為你監(jiān)視特定事件可能導(dǎo)致服務(wù)器或托管的應(yīng)用程序中存在的問題。同樣重要的是為你監(jiān)控服務(wù)器本身的運行時間，可用性和性能問題。 也可以監(jiān)控IIS服務(wù)器的一個SLA協(xié)議的對象，無論是內(nèi)部(公司)或外部(客戶端)的SLA要求。 理論上,這種監(jiān)測可以由一個服務(wù)器管理員手動完成,但要更高效、更可靠的話可把這種工作,交給像Monitis的監(jiān)測公司解決。